必须先备份再还原镜像源，因直接删配置可能致私有包失联：环境变量、项目级repositories或auth.json缺失/权限错误均会导致“Could not resolve packages”或“Failed to authenticate”。
为什么要先备份再还原镜像源
直接删配置可能让项目瞬间失联私有包或内部源——比如你删了 repos.packagist，但项目 composer.json 里还留着 "type": "composer" 的私有源定义，又没配认证，composer install 就会卡在“Could not resolve packages”；更糟的是，如果之前用过 COMPOSER_REPO_PACKAGIST 环境变量，删完全局配置后它仍生效，你以为还原成功了，其实还在走旧镜像。
备份三层配置：环境变量、项目级、全局级
Composer 查源顺序是：环境变量 > 项目级 composer.json > 全局 config.json。只备份其中一层等于白备。
- 查环境变量：
echo $COMPOSER_REPO_PACKAGIST（Linux/macOS）或echo %COMPOSER_REPO_PACKAGIST%（Windows），有输出就export COMPOSER_REPO_PACKAGIST=""或set COMPOSER_REPO_PACKAGIST=并记下原值 - 查项目级源：
composer config repo.packagist，同时检查composer.json里repositories字段是否含自定义项（如腾讯云、GitLab 私有源） - 查全局源：
composer config -g repo.packagist和composer config -g repos.packagist都要试——旧脚本可能混用单复数键名 - 完整备份命令：
cp ~/.composer/config.json ~/backup/composer-config-$(date +%F).json（注意路径，部分新系统用~/.config/composer/config.json，先用composer config -g --list确认）
auth.json 必须同步备份，否则私有包拉不下来
镜像源只是地址，私有包访问靠 auth.json 里的 token 或密码。还原镜像后若缺这个文件，composer install 会报 Failed to authenticate，哪怕所有 URL 都对。
- 确认是否存在：
ls -la ~/.composer/auth.json和ls -la ./auth.json（项目根目录下） - 若只有
~/.composer/config.json里有http-basic条目，说明凭据已写进全局配置，也得一并备份该文件 - 备份命令示例：
cp ~/.composer/auth.json ~/backup/ && chmod 600 ~/backup/auth.json（恢复时权限必须是 600，否则 Composer 拒绝读取） - 别漏掉项目级
auth.json：cp ./auth.json ~/backup/project-auth.json（如果存在且非空）
验证备份完整性比备份动作本身更重要
备份文件存在 ≠ 配置可还原。常见失效场景：JSON 格式损坏、权限不对、路径错位、auth.json 被 gitignore 掉导致实际为空。
- 用
jq . ~/.composer/config.json检查 JSON 是否合法（无报错即通过） - 对比备份前后
composer config -g --list | grep -E "(repo|repos)\.packagist"输出是否一致 - 临时新建测试项目，
cp备份的config.json和auth.json过去，跑composer require monolog/monolog --no-install -vvv，看日志中下载地址是否匹配预期源 - 若项目依赖私有 Git 仓库，备份后立即试
composer show vendor/private-package，确认能解析元数据而非报 401
还原镜像源不是改一个 URL 那么简单——它牵扯到凭据、作用域、缓存和 fallback 行为。最容易被忽略的是：你以为删了配置就清空了影响，其实环境变量或项目级 repositories 块仍在后台起效；而最常出问题的环节，是 auth.json 权限设成 644 后 Composer 直接静默跳过读取。
